セキュリティ検証記事、Claude Code Opus 5 Auto Mode のプロンプトインジェクション脆弱性を指摘──攻撃成功率 80%
Anthropic がデフォルト採用する Claude Code の Auto Mode において、悪意あるアーカイブ展開とコード実行を防ぎきれない脆弱性が研究者により実証された。
リリース: 2026-08-27 · 読了 3 分記事の要約
1. 核心（What）
- セキュリティ研究者の Johann Rehberger が Claude Code の Auto Mode に対する攻撃実証を公開
- 攻撃者は zip アーカイブ経由でコードを実行させ、約 80% の確率で安全機構をバイパスすることに成功
- Claude 自身が異常を検出してプロセスを停止しようとした際、Auto Mode の安全機構がそのクリーンアップコマンド自体をブロックした
2. 影響（Why）
- デフォルト過信のリスク: Anthropic が安全性を謳いデフォルト有効化している機能でも、巧妙なプロンプトインジェクションにより破られることが実証されたため。
- 防御機構のジレンマ: 安全性を高めるための分類器や Auto Mode が、逆にエージェント自身の正常な介入や事後処理を阻害する矛盾が露呈したため。
3. 根拠・詳細（How）
- 攻撃手順のメカニズム: zip アーカイブのダウンロードと解凍をエージェントに誤認させ、展開されたローカルの struct.py をインポート・実行させる手法を採用している。
- 推奨される分離対策: コンテナや VM などの OS サンドボックス内でエージェントを稼働させ、ネットワーク egress を制限した上でホームディレクトリや SSH 鍵を隔離する運用が不可欠となる。
4. 展望・課題（Next）
- Anthropic 側の修正パッチ: 公開された脆弱性を受け、Auto Mode の分類器およびクリーンアップ処理の競合問題に対するアップデートが求められる。